Le 12 janvier 2026, une compromission touche les données gérées par Relais Colis, via l’un de ses prestataires techniques. L’entreprise en informe ses clients par courrier électronique le 15 janvier 2026, pour un périmètre annoncé d’environ neuf millions de données : noms, adresses électroniques et numéros de téléphone, sans données bancaires ni mots de passe selon la communication de l’entreprise relayée par la presse le 19 janvier 2026. Huit mois plus tard, le 24 septembre 2026, l’observatoire FrenchBreaches révèle qu’une base attribuée au spécialiste de la livraison, présentée comme contenant près de treize millions d’enregistrements pour environ six millions deux cent mille personnes, est désormais proposée en téléchargement en accès libre sur un forum cybercriminel. Les volumes affichés par l’auteur de la diffusion ne peuvent pas être confirmés indépendamment dans leur intégralité, et l’entreprise n’avait pas communiqué publiquement, en janvier, le nombre exact de personnes touchées. Ces éléments sont connus par la publication de FrenchBreaches du 24 septembre 2026, mise à jour le même jour, consultée le 27 septembre 2026, et par la couverture de presse de janvier 2026, consultée le même jour.

Pour les professionnels de la chaîne, la question n’est pas de savoir si le forum dit vrai sur les volumes. Elle est de savoir qui détient quelle preuve et quelle décision prendre : l’e-commerçant qui confie ses livraisons au réseau, le commerçant qui exploite un point relais, le prestataire technique qui traite les données pour le compte du transporteur. La réponse tient en une phrase, avec ses réserves : chacun reste tenu de ses propres contrats et de ses propres obligations de sécurité, la remise en circulation d’une base ancienne n’efface ni les commandes en cours ni les responsabilités de chaque maillon, et tout litige se jouera sur les pièces conservées. Autrement dit, ni l’e-commerçant expéditeur, ni le commerçant relais, ni le prestataire informatique ne sont libérés par la seule annonce de la diffusion : le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. Chacun doit démontrer, pièce par pièce, ce qu’il a fait, quand il l’a fait et ce qu’il a subi. Réserve liminaire : l’existence et l’étendue exactes de la base rediffusée reposent sur les affirmations de son diffuseur, dont FrenchBreaches précise qu’elles ne peuvent pas être confirmées indépendamment dans leur intégralité ; en revanche, l’incident d’origine de janvier 2026 a été reconnu par l’entreprise elle-même. Cet article suit donc l’effet en chaîne d’un incident confirmé dont les données ressurgissent : d’abord les e-commerçants et les commerçants relais exposés par la rediffusion, ensuite le transporteur et son prestataire technique face à leurs obligations, puis les décisions de preuve, de notification et de contrat que chaque acteur doit prendre, avec les textes et les décisions qui encadrent chaque étape.

I. La carte des conséquences : expéditeurs et points relais d’un côté, transporteur et prestataire de l’autre

A. Les e-commerçants expéditeurs et les commerçants relais : une base ancienne redevenue exploitable

Le premier cercle des professionnels concernés se compose des e-commerçants qui confient leurs livraisons au réseau et des commerçants qui accueillent un point relais. Relais Colis présente d’ailleurs son réseau de points relais comme son armature commerciale et propose une offre dédiée aux professionnels pour livrer leurs clients partout en France, ce qui place ces deux catégories au coeur du dispositif. Les données rediffusées en septembre comprennent des noms et prénoms, des adresses postales, des adresses électroniques et des numéros de téléphone mobile : la combinaison de l’identité, de l’adresse et du téléphone permet des campagnes d’hameçonnage par SMS particulièrement crédibles, par exemple de faux messages annonçant un problème de livraison ou demandant de reprogrammer un colis.

Concrètement, l’e-commerçant expéditeur doit d’abord figer la preuve de sa propre situation. Il conserve le contrat conclu avec le transporteur ou le commissionnaire, les conditions générales applicables, les bordereaux et lettres de voiture, les preuves de dépôt et de suivi des colis, les échanges avec le service commercial du réseau, ainsi que toute notification reçue au sujet de l’incident. Si ses propres clients l’interrogent après avoir reçu un SMS frauduleux mentionnant leur commande, il horodate ces signalements et conserve les messages : ils démontreront, le cas échéant, la réalité et la date de sa connaissance du risque, point de départ de plusieurs de ses obligations. Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. L’e-commerçant qui, informé de la rediffusion, laisserait ses clients sans avertissement ni vigilance prendrait donc un risque propre, distinct de celui du transporteur.

Le commerçant qui exploite un point relais est exposé sous un angle différent mais tout aussi professionnel. Son établissement est l’adresse physique où les destinataires viennent retirer leurs colis : des fraudeurs peuvent s’en servir comme décor de confiance, en invitant la victime à se présenter au point relais après avoir cliqué sur un lien malveillant, ou en usurpant l’enseigne du commerçant dans des messages. Le commerçant conserve son contrat de partenariat avec le réseau, les consignes reçues, les relevés de son activité de point relais et tout message d’alerte émanant du transporteur. S’il constate une utilisation abusive du nom de son commerce, il la fait constater sans délai par un commissaire de justice, avec captures horodatées des messages et constats des appels reçus par sa clientèle, dépose plainte et signale les numéros frauduleux sur la plateforme officielle de signalement, puis en informe par écrit le réseau : cette traçabilité fera la différence entre le partenaire diligent et le partenaire passif le jour où un client trompé cherchera un responsable solvable à proximité. De son côté, l’e-commerçant qui reçoit des plaintes de clients hameçonnés centralise les messages frauduleux, fait établir un procès-verbal de constat sur un échantillon représentatif et adresse au réseau une mise en demeure de prendre les mesures de protection de sa marque et de ses flux, en se réservant expressément ses droits : ces pièces fonderont, s’il le faut, une action en responsabilité pour manquement à l’obligation de sécurité du transporteur ou une action en concurrence déloyale contre les auteurs identifiés, sans attendre que le préjudice devienne irréversible : cette traçabilité fera la différence entre le partenaire diligent et le partenaire passif le jour où un client trompé cherchera un responsable solvable à proximité.

B. Le transporteur et son prestataire technique : des obligations qui ne s’effacent pas avec le temps

Le second cercle réunit le transporteur lui-même et le prestataire technique par lequel la compromission initiale est passée. Le fait que l’incident d’origine remonte à janvier 2026 ne libère personne : en matière de protection des données, les obligations de notification, de documentation et de sécurisation survivent à la fermeture apparente du dossier, et la rediffusion en accès libre de septembre rouvre le compteur du risque pour les personnes concernées. la notification doit être transmise à la CNIL dans les meilleurs délais à la suite de la constatation d’une violation présentant un risque pour les droits et libertés des personnes, avec une notification initiale dans un délai de 72 heures si possible à la suite de la constatation de la violation, ce qui correspond à l’obligation de l’article 33 du RGPD Et lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, en cas de risque élevé, vous devez également notifier les personnes concernées. En cas de doute, notifiez à la CNIL qui vous indiquera s’il est nécessaire d’informer les personnes. (article 34 du RGPD) La mise en libre accès, qui rend la base accessible à tout acquéreur sans contrepartie, renforce le caractère élevé du risque et invite chaque responsable de traitement de la chaîne à réexaminer ses propres notifications de janvier.

La relation entre le transporteur et son prestataire technique est gouvernée par le droit de la sous-traitance des données. l’article 28 du RGPD n’autorise le responsable à recourir qu’à des sous-traitants présentant des garanties suffisantes, dans un contrat écrit qui définit l’objet, la durée, la nature et la finalité du traitement ainsi que les types de données et les catégories de personnes, et qui organise l’assistance du sous-traitant sur la sécurité et les notifications. La CNIL décline cette exigence côté exploitation : s’assurer que les gestionnaires du dispositif de gestion des traces (qu’ils soient internes ou externes) notifient le responsable de traitement, dans les plus brefs délais, en cas d’anomalie ou d’incident de sécurité. Le contrat doit définir l’objet et la durée du traitement, la nature et la finalité, les types de données et les catégories de personnes concernées, et prévoir notamment que le sous-traitant aide le responsable à garantir le respect des obligations prévues aux articles 32 à 36. Surtout, le contrat de sous-traitance doit organiser cette alerte : à défaut d’une notification dans les plus brefs délais, la responsabilité contractuelle du prestataire est engagée sans que le transporteur ait besoin de prouver une faute technique précise, l’inexécution de l’obligation de notification suffisant Pour le transporteur, la première pièce à réunir est donc le contrat de sous-traitance conclu avec le prestataire par lequel la compromission est passée : existence d’une autorisation écrite, clause d’assistance, délais de notification stipulés, journal des alertes échangées en janvier. Pour le prestataire, symétriquement, l’enjeu est de démontrer qu’il a alerté dans les meilleurs délais et assisté le responsable : à défaut, sa responsabilité contractuelle est engagée sans que le transporteur ait besoin de prouver une faute technique précise, l’inexécution de l’obligation de notification suffisant.

Sur le terrain du transport lui-même, la rediffusion ne modifie pas les règles de preuve des litiges de livraison, mais elle en accroît l’enjeu : tout différend sur un colis perdu ou avarié se jugera sur les réserves et les protestations conservées. La réception des objets transportés éteint toute action contre le voiturier pour avarie ou perte partielle si dans les trois jours, non compris les jours fériés, qui suivent celui de cette réception, le destinataire n’a pas notifié au voiturier, par acte extrajudiciaire ou par lettre recommandée, sa protestation motivée. L’e-commerçant destinataire de marchandises comme le commerçant relais qui réceptionne des flux doivent donc conserver le réflexe des trois jours, même quand l’actualité de la chaîne est dominée par la fuite de données : un litige de transport perdu pour forclusion ne se rattrape pas par l’invocation de la cyberattaque.

II. Les décisions à prendre : prouver, notifier, puis arbitrer entre continuer et rompre

A. Prouver et notifier : le dossier en trois chemises et les délais qui ne pardonnent pas

La première décision, commune à tous les acteurs, est une décision de preuve : constituer dès maintenant le dossier en trois chemises qui servira dans tous les contentieux à venir. Première chemise, le contrat : contrat de transport ou de commission, contrat de partenariat de point relais, contrat de sous-traitance informatique, conditions générales et avenants, avec leurs dates de conclusion et leurs clauses de responsabilité, de résiliation et d’assurance. Deuxième chemise, l’incident : notification reçue en janvier, articles de presse de janvier et de septembre, captures datées de la publication annonçant la diffusion en accès libre, signalements de clients, plaintes et récépissés de dépôt, constats réalisés. Troisième chemise, le préjudice : baisse du chiffre d’affaires documentée par l’expert-comptable, coûts de sécurisation, frais de communication de crise, temps passé chiffré, remboursements accordés aux clients.

L’enseignement central de la jurisprudence du transport tient en une formule : le doute profite au destinataire, pas au transporteur. Le voiturier est garant de la perte des objets à transporter, hors les cas de la force majeure. Il est garant des avaries autres que celles qui proviennent du vice propre de la chose ou de la force majeure. Dans un arrêt du 13 mai 2025, la cour d’appel de Toulouse l’a appliqué à une moissonneuse-batteuse détruite par deux incendies successifs pendant son transport : les expertises n’ayant émis qu’une hypothèse électrique sans déterminer la cause exacte, la cour a jugé que les dommages d’origine inconnue restent à la charge du voiturier et que les hypothèses ne suffisent pas à établir le vice propre. Le même arrêt illustre le maniement des réserves : la mention manuscrite portée sur la lettre de voiture, non contestée par le transporteur, a été jugée équivalente à la protestation de l’article L. 133-3, et la fin de non-recevoir tirée de la forclusion a été écartée, la lettre recommandée du 26 février 2019 respectant en outre le délai de trois jours à compter de la réception du 22 février. Retenir pour la chaîne Relais Colis : écrire les réserves sur le document de transport en présence du chauffeur, sans attendre ; confirmer par lettre recommandée dans les trois jours ; et ne jamais altérer le bien litigieux avant expertise, car la cour a aussi rappelé qu’une expertise amiable, même contradictoire, doit être corroborée par d’autres éléments pour jouir de sa pleine force probante.

Par ailleurs, le règlement impose de documenter chaque violation, en indiquant les faits, ses effets et les mesures prises pour y remédier, afin de permettre à l’autorité de contrôle de vérifier le respect de ces obligations : le registre des violations n’est pas une formalité, c’est la pièce qui établira, en cas de contrôle, que l’entreprise a mesuré le risque et agi dans les délais. La CNIL précise que le récapitulatif de votre notification à la CNIL permet de répondre à l’obligation de documentation interne. Concrètement, chaque acteur de la chaîne consigne la date et l’heure de sa première connaissance de la rediffusion, les personnes avisées en interne, les notifications adressées et les mesures de sécurisation déployées, et conserve les journaux techniques de ses propres systèmes : sans journaux, aucune entreprise ne peut démontrer qu’elle a agi dans les meilleurs délais.

La deuxième décision concerne les délais de prescription, impitoyables dans le transport. Les actions pour avaries, pertes ou retards, auxquelles peut donner lieu contre le voiturier le contrat de transport, sont prescrites dans le délai d’un an, sans préjudice des cas de fraude ou d’infidélité. Un e-commerçant qui découvrirait aujourd’hui un litige de livraison ancien lié au réseau doit donc vérifier immédiatement si son action contre le voiturier n’est pas prescrite, et chaque action récursoire, elle, ne dispose que d’un mois à compter de l’exercice de l’action contre le garanti. Dans l’affaire toulousaine, l’appel en garantie du transporteur contre l’expéditeur a prospéré à hauteur de vingt-cinq pour cent, et l’assureur du transporteur a été condamné à garantir son assurée sous déduction d’une franchise contractuelle de cinq mille euros : la cour a condamné le transporteur dans la limite du plafond contractuel de soixante mille euros, faute de faute inexcusable caractérisée, et l’expéditeur à près de vingt-quatre mille euros pour son manquement à la préparation. Ces chiffres montrent que, dans les litiges en chaîne, l’argent se répartit entre les maillons selon les pièces, les plafonds et les franchises, jamais selon l’émotion de l’incident.

B. Continuer ou rompre : le préavis écrit, la force majeure et les recours en chaîne

La troisième décision est stratégique : faut-il maintenir la relation avec le réseau ou la rompre, et à quelles conditions. Le réflexe de rompre sur-le-champ après la rediffusion de septembre est compréhensible mais juridiquement périlleux. Engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait, par toute personne exerçant des activités de production, de distribution ou de services de rompre brutalement, même partiellement, une relation commerciale établie, en l’absence d’un préavis écrit qui tienne compte notamment de la durée de la relation commerciale, en référence aux usages du commerce ou aux accords interprofessionnels. Le même texte, dans sa version applicable depuis le 20 août 2026, ajoute qu’une réduction substantielle des volumes de commandes, même présentée comme temporaire, peut engager la responsabilité de son auteur si elle compromet l’équilibre de la relation établie. L’e-commerçant qui détournerait brutalement ses flux vers un concurrent sans préavis écrit, comme le réseau qui déréférencerait sans ménagement un commerçant relais, s’exposerait donc à une condamnation, même si l’incident de données est réel : la brutalité se juge sur la forme de la rupture, pas sur le bien-fondé du mécontentement.

Deux décisions récentes montrent comment les juges appliquent ce régime aux réseaux de distribution. Le 30 mai 2018, la Cour de cassation a cassé l’arrêt qui déboutait un grossiste en électroménager, fournisseur d’une grande enseigne de bricolage depuis janvier 2007, de sa demande pour rupture brutale : la cour d’appel avait retenu l’existence de stocks importants pour justifier l’absence de commandes sans s’expliquer sur la commande conséquente passée en janvier 2014 par la centrale d’achats du groupe, privant ainsi sa décision de base légale au regard de l’article L. 442-6, I, 5° du code de commerce alors applicable. Le 9 septembre 2026, le tribunal des activités économiques de Paris a jugé brutale la rupture, en l’espace d’une semaine après sept ans de distribution exclusive d’implants, d’un sous-distributeur informé le 18 juillet 2024 d’une fin au 1er septembre puis privé de livraisons et désavoué auprès de sa clientèle dès le 25 juillet : ni l’expiration prévisible d’un certificat connu depuis des années ni la décision du fabricant de réorganiser son réseau n’ont été admises comme force majeure, il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. Le tribunal a fixé le préavis à douze mois, alloué cent cinq mille quatre cent quatorze euros au titre de la marge sur coûts variables et ordonné le rachat du stock pour quatre-vingt-trois mille euros. Transposé à la chaîne de livraison, l’enseignement est net : la cyberattaque subie par le partenaire, pas plus que la réorganisation qu’elle provoque, ne constitue une force majeure exonérant un préavis ; celui qui veut sortir du réseau notifie par écrit, respecte un préavis proportionné à l’ancienneté de la relation et négocie le sort des stocks et des flux en cours.

En pratique, la sortie propre du réseau se négocie comme un protocole, pas comme une rupture : durée de préavis écrite tenant compte de l’ancienneté, maintien des flux en cours jusqu’à leur livraison, sort des colis en transit et des retours, restitution ou suppression des données échangées avec le partenaire, et clause de non-dénigrement réciproque pendant la transition. L’e-commerçant qui prépare ce protocole avant de notifier conserve l’initiative et évite que le réseau ne lui impose ses conditions ; le commerçant relais qui documente ses volumes et ses investissements dédiés négocie en position de force le sort de son agencement et de sa clientèle de passage. Celui qui rompt d’abord et négocie ensuite paie deux fois : l’indemnité de préavis et la désorganisation de ses propres flux.

Pour les entreprises qui veulent comprendre comment ces principes s’appliquent à leurs propres contrats de transport, de partenariat ou de sous-traitance informatique, il est utile de consulter l’expertise en droit des affaires du cabinet à Paris, qui accompagne les sociétés dans la gestion de leurs relations commerciales et de leurs litiges entre professionnels. Ce point d’appui permet de relire les clauses de résiliation, de responsabilité et d’assurance avant de notifier une décision irréversible, et d’évaluer le préjudice réparable pièces à l’appui plutôt qu’à l’intuition.

La quatrième décision concerne l’assurance et les recours. Chaque acteur déclare l’incident à son assureur, cyber ou responsabilité civile professionnelle, avec le dossier en trois chemises déjà constitué, et vérifie les exclusions, les plafonds et les franchises : une déclaration tardive ou incomplète peut priver l’entreprise de sa garantie au pire moment. Parallèlement, il préserve ses recours en chaîne : l’e-commerçant contre le transporteur, le commerçant relais contre le réseau, le transporteur contre son prestataire technique, chacun contre les auteurs de la diffusion. Ces recours se cumulent dans le respect des contrats et des plafonds : seule est équipollente au dol la faute inexcusable du voiturier ou du commissionnaire de transport. Est inexcusable la faute délibérée qui implique la conscience de la probabilité du dommage et son acceptation téméraire sans raison valable. C’est ce verrou que la cour de Toulouse a refusé de faire sauter malgré la reprise de la route après un premier incendie, maintenant le plafond contractuel. Concrètement, cela signifie assigner utile plutôt qu’assigner vite : une assignation précédée de constats, de mises en demeure restées sans effet et d’un préjudice documenté aboutit ; une assignation lancée à chaud, sans pièces ni chiffrage, s’enlise.

En conclusion, la compromission de janvier 2026 subie via un prestataire technique, reconnue par Relais Colis, puis la remise en circulation en accès libre de la base en septembre 2026, ne créent ni une excuse générale ni un responsable unique : elles créent une chaîne de décisions à prendre vite et à prouver longtemps. Les e-commerçants sécurisent leurs clients, conservent leurs contrats de transport et protestent dans les trois jours en cas d’avarie. Les commerçants relais font constater toute usurpation de leur enseigne et alertent le réseau par écrit. Le transporteur et son prestataire rejouent leurs notifications et leur contrat de sous-traitance. Tous notifient avant de rompre, et chiffrent avant de réclamer. Dans ces litiges en chaîne, le gagnant n’est jamais celui qui crie le plus fort à la fuite de données : c’est celui qui, le jour de l’audience, verse aux débats le dossier le plus complet. Limites à garder en mémoire : les volumes de la base rediffusée reposent sur les seules affirmations de son diffuseur, les investigations se poursuivent, et chaque situation contractuelle appelle un examen propre, sans transposition automatique.